Hallo Trojaner Bord Forum!

Ich habe mich wie viele hier im Forum mit dem GVU Trojaner angesteckt.
Andere Themen konnten mir bis jetzt nicht weiter helfen, da dort die meisten wenigstens in den abgesicherten Modus kamen, und dann mithilfe 'mcconfig' oder 'regedit' diesen beseitigen konnten.

Bei mir ist der Fall, das ich NICHTS von diesen machen kann. Denn sobald ich den Abgesicherten Modus öffne, fährt der PC automatisch runter, startet neu und meldet sich ganz normal wieder an.. & es geht wieder von vorne los...

Ich brauche meine Daten / Musikdatein UNBEDINGT wieder! ich muss da einmal dran kommen, um mir alles zu sichern.

Danke schonmal im Vorraus ( sitze am Pc meines Bruders... )

EDIT: Eins hab ich noch vergessen Windows 7 ist das Betriebssystem.
Sry ryder


Grüße

Und verrätst du uns vielleicht auch dein Betriebssystem oder müssen wir das raten?

Bitte keine Beiträge nachträglich ändern.



Ich werde dir bei deinem Problem helfen. Eine Bereinigung ist mitunter mit viel Arbeit für Dich (und mich) verbunden. Bevor es los geht, habe ich etwas Lesestoff für dich.

Bitte Lesen:
Regeln für die Bereinigung
Damit die Bereinigung funktioniert bitte ich dich, die folgenden Punkte aufmerksam zu lesen:

• Bitte arbeite alle Schritte der Reihe nach ab. Gib mir bitte zu jedem Schritt Rückmeldung (Logfile oder Antwort) und zwar gesammelt, wenn du alles erledigt hast, in einer Antwort.
• Nur Scanns durchführen zu denen Du aufgefordert wirst.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software, ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread (möglichst in Code-Tags - #-Symbol im Editor anklicken). Nicht anhängen oder zippen, außer ich fordere Dich dazu auf, oder das Logfile wäre zu gross. Erschwert mir nämlich das Auswerten.
• Mache deinen Namen nur dann unkenntlich, wenn es unbedingt sein muss.
• Beim ersten Anzeichen illegal genutzer Software (Cracks, Patches und Co) wird der Support ohne Diskussion eingestellt.
• Sollte ich nicht nach 3 Tagen geantwortet haben, dann (und nur dann) schicke mir bitte eine PM.
• Ich werde dir ganz deutlich mitteilen, dass du "sauber" bist. Bis dahin arbeite bitte gut mit.
• Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.

Gelesen und verstanden?

Scan mit Farbar's Recovery Scan Tool

Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick:
Farbar Recovery Scan Tool 32-Bit-Version
Farbar Recovery Scan Tool 64-Bit-Version

Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:

Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.

Über den Boot Manager

• Starte den Rechner neu auf.
• Während dem Hochfahren drücke mehrmals die F8 Taste
• Wähle nun Computer reparieren.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Mit Windows CD/DVD

• Lege die Windows CD in dein Laufwerk.
• Starte den Rechner neu auf und starte von der CD
• Wähle die Spracheinstellungen und klicke "Weiter".
• Klicke auf Computerreparaturoptionen !!
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Wähle in den Reparaturoptionen Eingabeaufforderung

• Gib nun bitte notepad ein und drücke Enter.
• Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer
  Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt.
• Schließe Notepad wieder
• Gib nun bitte folgenden Befehl ein.
  e:\frst.exe bzw. e:\frst64.exe
  Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Gegebenfalls anpassen.
• Akzeptiere den Disclaimer mit Yes und klicke Scan

Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Ich würde gerne das sehen, was Sie hier sehen...
ich seh nur Pfade,und Pfade.. und Pfade.. Pfade..

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 13-03-2013 (ATTENTION: FRST version is 7 days old)
Ran by SYSTEM at 20-03-2013 18:24:14
Running from I:\
Windows 7 Ultimate   (X86) OS Language: English(US) 
The current controlset is ControlSet001

==================== Registry (Whitelisted) ===================

HKLM\...\Run: [VX3000] C:\Windows\vVX3000.exe [762736 2010-05-20] (Microsoft Corporation)
HKLM\...\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe" [119152 2010-05-20] (Microsoft Corporation)
HKLM\...\Run: [LogMeIn Hamachi Ui] "C:\Program Files\All my Programms\Hamachi\hamachi-2-ui.exe" --auto-start [2254768 2012-12-10] (LogMeIn Inc.)
HKLM\...\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [946352 2012-12-18] (Adobe Systems Incorporated)
HKLM\...\Run: [AVSetupPending] C:\Windows\TEMP\AVSETUP_5148ce84\SetupPending.exe [91872 2013-03-19] (Avira Operations GmbH & Co. KG)
HKU\Tom\...\Run: [Browser Infrastructure Helper] C:\Users\Tom\AppData\Local\Smartbar\Application\QuickShare.exe startup [13824 2013-02-10] (Smartbar)
HKU\Tom\...\Run: [Google Update] "C:\Users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe" /c [116648 2012-05-10] (Google Inc.)
HKU\Tom\...\Winlogon: [Shell] explorer.exe,C:\Users\Tom\AppData\Roaming\skype.dat [62976 2011-11-16] ()
HKLM\...\Winlogon: [Userinit]  [x]
HKLM\...\Winlogon: [Shell]  [x ] ()
HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0\n. ATTENTION! ====> ZeroAccess
Tcpip\..\Interfaces\{E5E5996E-959F-41F8-B479-9DE8BD135109}: [NameServer]192.168.178.1
Startup: C:\ProgramData\Start Menu\Programs\Startup\McAfee Security Scan Plus.lnk
ShortcutTarget: McAfee Security Scan Plus.lnk -> C:\Program Files\McAfee Security Scan\3.0.318\SSScheduler.exe (McAfee, Inc.)
Startup: C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.4.1.lnk
ShortcutTarget: OpenOffice.org 3.4.1.lnk -> C:\Program Files\All my Programms\Open Office\program\quickstart.exe ()

==================== Services (Whitelisted) ===================

2 AviraUpgradeService; "C:\Windows\TEMP\AVSETUP_5148ce84\avupgsvc.exe" /TEMPSTART:""C:\Windows\TEMP\AVSETUP_5148ce84\setup.exe" /NOTEMPCLEANUP /CROSSUPGRADE" [792800 2013-03-19] (Avira Operations GmbH & Co. KG)
3 Creative ALchemy AL6 Licensing Service; "C:\Program Files\Common Files\Creative Labs Shared\Service\AL6Licensing.exe" [79360 2012-08-21] (Creative Labs)
2 Hamachi2Svc; "C:\Program Files\All my Programms\Hamachi\hamachi-2.exe" -s [1435568 2012-12-10] (LogMeIn Inc.)
2 HerculesDJControlMP3; C:\Program Files\Hercules\Audio\DJ Console Series\HerculesDJControlMP3.EXE [17408 2007-11-21] ()
3 McComponentHostService; "C:\Program Files\McAfee Security Scan\3.0.318\McCHSvc.exe" [235216 2013-02-05] (McAfee, Inc.)
3 MozillaMaintenance; "C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe" [115760 2013-02-04] (Mozilla Foundation)

==================== Drivers (Whitelisted) ====================

3 Bulk; C:\Windows\System32\Drivers\HDJBulk.sys [127488 2009-10-02] (© Guillemot R&D, 2009. All rights reserved.)
3 hamachi; C:\Windows\System32\DRIVERS\hamachi.sys [26176 2009-03-18] (LogMeIn, Inc.)
3 HDJMidi; C:\Windows\System32\DRIVERS\HDJMidi.sys [124416 2009-10-02] (© Guillemot R&D, 2009. All rights reserved.)
3 MAYA44; C:\Windows\System32\Drivers\Maya44.sys [339744 2011-02-10] (Audiotrack)
3 pgusbmme; C:\Windows\System32\drivers\pgusbmm3.sys [44320 2011-02-10] (usb-audio.de)
3 Ph3xIB32; C:\Windows\System32\DRIVERS\Ph3xIB32.sys [1311232 2009-07-13] (NXP Semiconductors)

==================== NetSvcs (Whitelisted) ===================


==================== One Month Created Files and Folders ========

2013-03-20 18:24 - 2013-03-20 18:24 - 00000000 ____D C:\FRST
2013-03-19 13:35 - 2013-03-20 07:02 - 00000004 ____A C:\Users\Tom\AppData\Roaming\skype.ini
2013-03-19 12:44 - 2013-03-19 12:44 - 02086240 ____A C:\Users\Tom\Downloads\avira_free_antivirus.exe
2013-03-11 13:20 - 2013-03-11 13:20 - 00001989 ____A C:\Users\Public\Desktop\Adobe Reader XI.lnk
2013-03-11 13:20 - 2013-03-11 13:20 - 00000000 ____D C:\Program Files\Common Files\Adobe
2013-03-11 11:15 - 2013-03-11 13:40 - 00000687 ____A C:\Users\Tom\Desktop\New Text Document (4).txt
2013-03-11 07:02 - 2013-03-11 07:02 - 00000000 ____D C:\Users\Tom\AppData\Local\{BEEEED6F-999B-4219-9445-F63B80309BA0}
2013-03-10 13:17 - 2013-03-10 13:17 - 10691740 ____A C:\Users\Tom\Downloads\MONSTA - GONE.m4a
2013-03-06 11:28 - 2013-03-18 09:58 - 00002004 ____A C:\Users\Public\Desktop\McAfee Security Scan Plus.lnk
2013-03-06 11:28 - 2013-03-18 09:58 - 00000000 ____D C:\Program Files\McAfee Security Scan
2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee Security Scan
2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee
2013-03-06 10:40 - 2013-03-06 10:40 - 00143544 ____A C:\Windows\Minidump\030613-22453-01.dmp
2013-02-26 03:36 - 2013-02-26 03:36 - 00143544 ____A C:\Windows\Minidump\022613-22468-01.dmp
2013-02-25 09:50 - 2013-02-25 09:50 - 00143544 ____A C:\Windows\Minidump\022513-25500-01.dmp

==================== One Month Modified Files and Folders ========

2013-03-20 07:02 - 2013-03-19 13:35 - 00000004 ____A C:\Users\Tom\AppData\Roaming\skype.ini
2013-03-20 07:01 - 2012-08-04 05:47 - 00044055 ____A C:\Windows\setupact.log
2013-03-20 07:01 - 2012-05-15 11:01 - 00000000 ____D C:\Users\Tom\AppData\Local\LogMeIn Hamachi
2013-03-20 07:01 - 2009-07-13 20:53 - 00000006 ___AH C:\Windows\Tasks\SA.DAT
2013-03-20 06:59 - 2012-09-05 11:22 - 00168402 ____A C:\Windows\PFRO.log
2013-03-19 13:14 - 2012-05-10 07:54 - 00001112 ____A C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001UA.job
2013-03-19 12:44 - 2013-03-19 12:44 - 02086240 ____A C:\Users\Tom\Downloads\avira_free_antivirus.exe
2013-03-19 12:44 - 2012-09-05 12:49 - 00693976 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerApp.exe
2013-03-19 12:44 - 2012-09-05 12:49 - 00073432 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerCPLApp.cpl
2013-03-19 12:25 - 2012-05-10 04:46 - 00726142 ____A C:\Windows\System32\PerfStringBackup.INI
2013-03-19 12:25 - 2009-07-13 20:34 - 00014016 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2013-03-19 12:25 - 2009-07-13 20:34 - 00014016 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
2013-03-18 12:14 - 2012-05-10 07:54 - 00001060 ____A C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001Core.job
2013-03-18 09:58 - 2013-03-06 11:28 - 00002004 ____A C:\Users\Public\Desktop\McAfee Security Scan Plus.lnk
2013-03-18 09:58 - 2013-03-06 11:28 - 00000000 ____D C:\Program Files\McAfee Security Scan
2013-03-16 14:24 - 2012-05-09 12:56 - 01326799 ____A C:\Windows\WindowsUpdate.log
2013-03-16 14:19 - 2012-05-10 07:55 - 00002356 ____A C:\Users\Tom\Desktop\Google Chrome.lnk
2013-03-11 13:40 - 2013-03-11 11:15 - 00000687 ____A C:\Users\Tom\Desktop\New Text Document (4).txt
2013-03-11 13:23 - 2012-05-27 10:18 - 00000000 ____D C:\ProgramData\Adobe
2013-03-11 13:23 - 2012-05-27 10:05 - 00000000 ____D C:\Users\Tom\AppData\Local\Adobe
2013-03-11 13:23 - 2012-05-10 07:55 - 00000000 ____D C:\Users\Tom\AppData\Roaming\Adobe
2013-03-11 13:20 - 2013-03-11 13:20 - 00001989 ____A C:\Users\Public\Desktop\Adobe Reader XI.lnk
2013-03-11 13:20 - 2013-03-11 13:20 - 00000000 ____D C:\Program Files\Common Files\Adobe
2013-03-11 13:20 - 2012-05-27 10:18 - 00000000 ____D C:\Program Files\Adobe
2013-03-11 07:02 - 2013-03-11 07:02 - 00000000 ____D C:\Users\Tom\AppData\Local\{BEEEED6F-999B-4219-9445-F63B80309BA0}
2013-03-10 13:17 - 2013-03-10 13:17 - 10691740 ____A C:\Users\Tom\Downloads\MONSTA - GONE.m4a
2013-03-10 12:10 - 2012-05-15 10:10 - 00000000 ____D C:\Users\Tom\AppData\Roaming\TS3Client
2013-03-06 11:29 - 2012-05-15 09:54 - 00000000 ____D C:\Users\Tom\AppData\Roaming\Skype
2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee Security Scan
2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee
2013-03-06 10:40 - 2013-03-06 10:40 - 00143544 ____A C:\Windows\Minidump\030613-22453-01.dmp
2013-03-06 10:40 - 2013-02-05 04:47 - 211246394 ____A C:\Windows\MEMORY.DMP
2013-03-06 10:40 - 2013-02-05 04:47 - 00000000 ____D C:\Windows\Minidump
2013-03-04 10:45 - 2009-07-13 18:37 - 00000000 ____D C:\Windows\System32\NDF
2013-02-26 03:36 - 2013-02-26 03:36 - 00143544 ____A C:\Windows\Minidump\022613-22468-01.dmp
2013-02-25 11:01 - 2012-08-03 10:51 - 00001190 ____A C:\Users\Tom\AppData\Roaming\buttrc
2013-02-25 09:50 - 2013-02-25 09:50 - 00143544 ____A C:\Windows\Minidump\022513-25500-01.dmp


ZeroAccess:
C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001\$d0cf7208ddb7bfeffdd3ba9a4846aba0

ZeroAccess:
C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0

==================== Known DLLs (Whitelisted) =================


==================== Bamital & volsnap Check =================

C:\Windows\explorer.exe => MD5 is legit
C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit

==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points  =========================

Restore point made on: 2013-01-18 07:45:57
Restore point made on: 2013-02-02 13:11:01
Restore point made on: 2013-02-11 13:24:09
Restore point made on: 2013-02-26 11:41:10
Restore point made on: 2013-03-08 07:28:37

==================== Memory info =========================== 

Percentage of memory in use: 14%
Total physical RAM: 3070.55 MB
Available physical RAM: 2622.9 MB
Total Pagefile: 3068.83 MB
Available Pagefile: 2619.86 MB
Total Virtual: 2047.88 MB
Available Virtual: 1960.7 MB

==================== Partitions =============================

1 Drive c: () (Fixed) (Total:401.5 GB) (Free:317.97 GB) NTFS
6 Drive i: () (Removable) (Total:0.47 GB) (Free:0.38 GB) FAT32
10 Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS
11 Drive y: (System Reserved) (Fixed) (Total:0.1 GB) (Free:0.07 GB) NTFS ==>[System with boot components (obtained from reading drive)]

  Disk ###  Status         Size     Free     Dyn  Gpt
  --------  -------------  -------  -------  ---  ---
  Disk 0    Online          465 GB      0 B         
  Disk 1    No Media           0 B      0 B         
  Disk 2    No Media           0 B      0 B         
  Disk 3    No Media           0 B      0 B         
  Disk 4    Online          489 MB      0 B         
  Disk 5    No Media           0 B      0 B         
  Disk 6    No Media           0 B      0 B         

Partitions of Disk 0:
===============

Disk ID: 84C6A371

  Partition ###  Type              Size     Offset
  -------------  ----------------  -------  -------
  Partition 1    Primary            100 MB  1024 KB
  Partition 2    Primary             64 GB   101 MB
  Partition 3    Primary            401 GB    64 GB

=========================================================

Disk: 0
Partition 1
Type  : 07
Hidden: No
Active: Yes

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
  ----------  ---  -----------  -----  ----------  -------  ---------  --------
* Volume 1     Y   System Rese  NTFS   Partition    100 MB  Healthy            

=========================================================

Disk: 0
Partition 2
Type  : 06
Hidden: No
Active: No

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
  ----------  ---  -----------  -----  ----------  -------  ---------  --------
* Volume 2     D                RAW    Partition     64 GB  Healthy            

=========================================================

Disk: 0
Partition 3
Type  : 07
Hidden: No
Active: No

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
  ----------  ---  -----------  -----  ----------  -------  ---------  --------
* Volume 3     C                NTFS   Partition    401 GB  Healthy            

=========================================================

Partitions of Disk 4:
===============

Disk ID: 00000000

  Partition ###  Type              Size     Offset
  -------------  ----------------  -------  -------
  Partition 1    Primary            488 MB    16 KB

=========================================================

Disk: 4
Partition 1
Type  : 0B
Hidden: No
Active: Yes

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
  ----------  ---  -----------  -----  ----------  -------  ---------  --------
* Volume 7     I                FAT32  Removable    488 MB  Healthy            

=========================================================
============================== MBR Partition Table ==================

==============================
Partitions of Disk 0:
===============
Disk ID: 84C6A371

Partition 1:
=========
Hex: 8020210007DF130C0008000000200300
Active: YES
Type: 07 (NTFS)
Size: 100 MB

Partition 2:
=========
Hex: 00DF140C06FEFFFF0028030000200508
Active: NO
Type: 06
Size: 64 GB

Partition 3:
=========
Hex: 00FEFFFF07FEFFFF0048080800103032
Active: NO
Type: 07 (NTFS)
Size: 402 GB

==============================
Partitions of Disk 4:
===============
Disk ID: 00000000

Partition 1:
=========
Hex: 800101000B37E04620000000E0460F00
Active: YES
Type: 0B
Size: 489 MB


Last Boot: 2013-03-15 07:11

==================== End Of Log ============================
         

Lesestoff:
Rootkit-Warnung
Dein Computer wurde mit einem besonderen Schädling infiziert, der sich vor herkömmlichen Virenscannern und dem Betriebssystem selbst verstecken kann. Zusätzlich hat so ein Schädling meist auch Backdoor-Funktionalität, reißt also ganz bewußt Löcher durch alle Schutzmaßnahmen, damit er weiteren Schadcode nachladen oder die Daten, die er so sammelt, an die "bösen Jungs" weiterleiten kann. Was heißt das jetzt für dich?

• Entscheide bitte ganz bewußt, ob du mit der Bereinigung fortfahren möchtest. Ein einmal derartig kompromittiertes System kann man niemals mit 100%iger Sicherheit wieder absichern. Auch wenn wir gute Chancen haben, deinen Computer zu bereinigen, kann es dennoch möglich sein, dass uns am Ende nur die Neuinstallation bleibt.
• Wenn du mit diesem Computer beispielsweise Onlinebanking machst, dann solltest du zumindest dein Passwort von deiner Bank ändern lassen, wenn du ein ansonsten sicheres Verfahren wie beispielsweise "chip-TAN-comfort" nutzt. Hast du noch alte TAN-Bögen auf Papierbasis? Dann ist es höchste Zeit dich bei deiner Bank zu melden und notfalls das Konto temporär sperren zu lassen. Der Sperrnotruf 116 116 von www.sperr-notruf.de kann Tag und Nacht dafür benutzt werden.
• Hast du ansonsten sensible Daten auf deinem Computer, dann solltest du auch darüber nachdenken, wie du damit umgehst, dass sie sich praktisch "jeder" ansehen konnte.

Teile mir also mit, wie du dich entschieden hast.

Fix mit FRST

Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001
C:\$Recycle.Bin\S-1-5-18
HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0\n. ATTENTION! ====> ZeroAccess
HKU\Tom\...\Winlogon: [Shell] explorer.exe,C:\Users\Tom\AppData\Roaming\skype.dat [62976 2011-11-16] ()
HKLM\...\Winlogon: [Userinit]  [x]
HKLM\...\Winlogon: [Shell]  [x ] ()
C:\Users\Tom\AppData\Roaming\skype.dat
C:\Users\Tom\AppData\Roaming\skype.ini
         

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Fix Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Ich möchte gerne auf meine Daten zugreifen, um ihn dann neu Installieren zu können, vorher aber meine Musikdatein und sonst noch was sichern.
Also befreien, sodass ich wieder Rechte habe, Daten sichern, Neu Installation.

Ich denke das fällt mit unter Abschnitt "A".

Ich mach mich dann mal an die FIX liste..

Kannst du mir evt. erklären wie du auf diesen Code kommst, oder warum und weshalb? Mich interressiert das sehr.. Es sei den es ist zu kompliziert und zu viel..


Frage:

Ich denke :
* Starte deinen Rechner erneut in die Reparaturoptionen
* Starte nun die FRST.exe erneut und klicke den Fix Button.
... bezieht sich wieder auf den "verseuchten Rechner" , oder?

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 13-03-2013
Ran by SYSTEM at 2013-03-20 20:18:13 Run:1
Running from I:\

==============================================

C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001 moved successfully.
C:\$Recycle.Bin\S-1-5-18 moved successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InprocServer32\\Default value was restored successfully .
[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}] should be deleted in normal mode (if present).
HKEY_USERS\Tom\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell Value deleted successfully.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Userinit Value was restored successfully .
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell Value was restored successfully .
C:\Users\Tom\AppData\Roaming\skype.dat moved successfully.
C:\Users\Tom\AppData\Roaming\skype.ini moved successfully.

==== End of Fixlog ====
         

öhm noch ne Info.. : mit dem PC mit dem ich hier drin online bin ist Windows XP...

Jepp, gut soweit.


Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)
Wieder normal booten


Schritt 2:
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
  Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und aktzeptiere die Endbenutzer-Lizenz.
  Bei heutiger Malware ist dies sehr empfehlenswert, da diese uns eine Möglichkeit bietet, dein System zu reparieren, falls etwas schief geht.
  Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
  Hinweis: Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es eine Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schritt 3:
Liste der installierten Programme (Combofix)

Bitte suche und poste mir die folgende Datei:
c:\Qoobox\Add-Remove Programs.txt

Hier der Combofix log

ComboFix 13-03-21.02 - Tom 22.03.2013  13:53:48.1.2 - x86
Microsoft Windows 7 Ultimate   6.1.7600.0.1252.49.1033.18.3071.2368 [GMT 1:00]
ausgeführt von:: c:\users\Tom\Desktop\ComboFix.exe
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\Install.exe
c:\programdata\dsgsdgdsgdsgw.pad
c:\programdata\lsass.exe
c:\users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum
c:\windows\system32\tmp9FCF.tmp
c:\windows\system32\tmpA0AB.tmp
.
.
(((((((((((((((((((((((   Dateien erstellt von 2013-02-22 bis 2013-03-22  ))))))))))))))))))))))))))))))
.
.
2013-03-21 02:24 . 2013-03-21 02:24	--------	d-----w-	C:\FRST
2013-03-11 21:20 . 2013-03-11 21:20	--------	d-----w-	c:\program files\Common Files\Adobe
2013-03-06 19:28 . 2013-03-06 19:28	--------	d-----w-	c:\programdata\McAfee Security Scan
2013-03-06 19:28 . 2013-03-06 19:28	--------	d-----w-	c:\programdata\McAfee
2013-03-06 19:28 . 2013-03-18 17:58	--------	d-----w-	c:\program files\McAfee Security Scan
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-03-19 20:44 . 2012-09-05 20:49	693976	----a-w-	c:\windows\system32\FlashPlayerApp.exe
2013-03-19 20:44 . 2012-09-05 20:49	73432	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2013-01-11 16:34 . 2013-01-11 16:34	348160	----a-w-	c:\windows\system32\msvcr71.dll
2013-01-11 16:34 . 2013-01-11 16:34	1700352	----a-w-	c:\windows\system32\gdiplus.dll
2013-01-11 16:34 . 2013-01-11 16:34	1060864	----a-w-	c:\windows\system32\mfc71.dll
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Browser Infrastructure Helper"="c:\users\Tom\AppData\Local\Smartbar\Application\QuickShare.exe" [2013-02-10 13824]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"VX3000"="c:\windows\vVX3000.exe" [2010-05-20 762736]
"LifeCam"="c:\program files\Microsoft LifeCam\LifeExp.exe" [2010-05-20 119152]
"LogMeIn Hamachi Ui"="c:\program files\All my Programms\Hamachi\hamachi-2-ui.exe" [2012-12-10 2254768]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-18 946352]
.
c:\users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.4.1.lnk - c:\program files\All my Programms\Open Office\program\quickstart.exe [2012-8-13 1199104]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
McAfee Security Scan Plus.lnk - c:\program files\McAfee Security Scan\3.0.318\SSScheduler.exe [2013-2-5 272248]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux6"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
.
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 Bulk;HDJBulk;c:\windows\system32\Drivers\HDJBulk.sys [x]
R3 Creative ALchemy AL6 Licensing Service;Creative ALchemy AL6 Licensing Service;c:\program files\Common Files\Creative Labs Shared\Service\AL6Licensing.exe [x]
R3 Creative Audio Engine Licensing Service;Creative Audio Engine Licensing Service;c:\program files\Common Files\Creative Labs Shared\Service\CTAELicensing.exe [x]
R3 HDJMidi;DJ Control MP3 e2 MIDI;c:\windows\system32\DRIVERS\HDJMidi.sys [x]
R3 MAYA44;usb-audio.de driver for Maya44;c:\windows\system32\Drivers\Maya44.sys [x]
R3 McComponentHostService;McAfee Security Scan Component Host Service;c:\program files\McAfee Security Scan\3.0.318\McCHSvc.exe [x]
R3 pgusbmme;usb-audio.de MME-Adapter;c:\windows\system32\drivers\pgusbmm3.sys [x]
S2 Hamachi2Svc;LogMeIn Hamachi Tunneling Engine;c:\program files\All my Programms\Hamachi\hamachi-2.exe [x]
S2 HerculesDJControlMP3;Hercules DJ Control MP3;c:\program files\Hercules\Audio\DJ Console Series\HerculesDJControlMP3.EXE [x]
S2 TeamViewer7;TeamViewer 7;c:\program files\TeamViewer\Version7\TeamViewer_Service.exe [x]
S3 Ph3xIB32;Philips 713x Inbox PCI TV Card;c:\windows\system32\DRIVERS\Ph3xIB32.sys [x]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
Inhalt des "geplante Tasks" Ordners
.
2013-03-18 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001Core.job
- c:\users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe [2012-05-10 15:54]
.
2013-03-19 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001UA.job
- c:\users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe [2012-05-10 15:54]
.
.
------- Zusätzlicher Suchlauf -------
.
uInternet Settings,ProxyOverride = <local>
IE: {{781B39EC-2E18-41FC-9B00-B84E4FFCA85F} - c:\program files\All my Programms\ICQ7M\ICQ.exe
TCP: Interfaces\{E5E5996E-959F-41F8-B479-9DE8BD135109}: NameServer = 192.168.178.1
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
AddRemove-Uncompressor - c:\program files\Uncompressor\Uninstall\Uninstall.exe
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\program files\Creative\Shared Files\CTAudSvc.exe
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\taskhost.exe
c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe
c:\program files\Microsoft LifeCam\MSCamS32.exe
c:\windows\system32\sppsvc.exe
c:\windows\system32\conhost.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
c:\program files\TeamViewer\Version7\TeamViewer.exe
c:\program files\TeamViewer\Version7\tv_w32.exe
c:\windows\system32\WUDFHost.exe
c:\program files\All my Programms\Open Office\program\soffice.exe
c:\program files\All my Programms\Open Office\program\soffice.bin
c:\program files\Windows Media Player\wmpnetwk.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2013-03-22  14:03:43 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2013-03-22 13:03
.
Vor Suchlauf: 343.194.091.520 bytes free
Nach Suchlauf: 343.409.729.536 bytes free
.
- - End Of File - - F5CE84F698B910E0335BADEE09F5CC00
         

und die Add Remove Programm.txt
Hier eine kurze frage: Ist das richtig , das ich erst nach dem Neustart auf C: zugreifen konnte? Vorher hatte der mir gesagt, das C nicht vorhanden sei. Nach dem Neustart war aber alles wieder normal.

Adobe AIR
Adobe Flash Player 11 ActiveX
Adobe Flash Player 11 Plugin
Adobe Reader XI (11.0.02) - Deutsch
Akamai NetSession Interface
ASIO4ALL
Audacity 2.0
Beatport Downloader
butt
CCleaner
Counter-Strike: Source
Creative ALchemy
Creative MediaSource 5
Creative Software AutoUpdate
Creative Systeminformationen
D3DX10
Deckadance
FL Studio 10
GIMP 2.8.2
Google Chrome
Hercules DJ Products Series drivers
ICQ7M
IL Download Manager
IL Shared Libraries
Java Auto Updater
Java(TM) 7 Update 5
JavaFX 2.1.1
LAME v3.99.3 (for Windows)
LogMeIn Hamachi
Maya44 USB ASIO driver
McAfee Security Scan Plus
Microsoft .NET Framework 4 Client Profile
Microsoft Application Error Reporting
Microsoft Corporation
Microsoft LifeCam
Microsoft PowerPoint Viewer
Microsoft SQL Server 2005 Compact Edition [ENU]
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30411
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
Microsoft Visual C++ 2010  x86 Redistributable - 10.0.40219
Mozilla Maintenance Service
Mozilla Thunderbird 17.0.2 (x86 de)
MSVCRT
Need For Speed™ World
Notepad++
OpenOffice.org 3.4.1
PoP-Tools Levelmeter
QuickShare
Realtek High Definition Audio Driver
Security Update for Microsoft .NET Framework 4 Client Profile (KB2604121)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2656351)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2656368)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2656368v2)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2656405)
Security Update for Microsoft .NET Framework 4 Client Profile (KB2686827)
Skype™ 6.1
Sound Blaster Play!
Spark 2.6.3.12555
Steam
TeamSpeak 3 Client
TeamViewer 7
theHunter (remove only)
TmNationsForever
Uncompressor
Update for Microsoft .NET Framework 4 Client Profile (KB2468871)
Update for Microsoft .NET Framework 4 Client Profile (KB2533523)
Update for Microsoft .NET Framework 4 Client Profile (KB2600217)
Virtual DJ Pro Full - Atomix Productions
VLC media player 2.0.1
Windows Live Communications Platform
Windows Live Essentials
Windows Live Fotogalerie
Windows Live ID Sign-in Assistant
Windows Live Installer
Windows Live Movie Maker
Windows Live Photo Common
Windows Live Photo Gallery
Windows Live PIMT Platform
Windows Live SOXE
Windows Live SOXE Definitions
Windows Live UX Platform
Windows Live UX Platform Language Pack
WinRAR 4.11 (32-Bit)
         

Das kommt schon mal vor.

Bevor es weitergeht: Besteht das Problem noch?
Hast du wirklich keinen Virenscanner installiert?

Sollte ich sie den Komplett deinstallieren?
Ich dachte unter deaktivieren fällt nur "nicht anmachen"

Soll ich dann jetzt Alle virenscanner deinstallieren , und den COmbofix nochmal wiederholen?

Du hast mich missverstanden. Es SIEHT so aus als hättest du keinen Virenscanner. Ist das richtig oder nicht?

Achsooo
Doch bevor der trojaner zugeschlagen hat hatte ich avira drauf...
Aber anscheinend ist der gelöscht worden.

Als ich den pc eben neu gestartet habe hat avira sich auch gemeldet, dass es nicht mehr da ist.

Ich hab den dann erstmal weggedruckt, da ich ja alle virenscanner eh deaktivieren sollte.
Und ohne deinen Befehl mach ich nichts...

Dann entfernen wir erstmal die Avirareste. Deinstalliere was noch da ist und danach:

Download Avira RegistryCleaner

Dass musste mir nochmal sagen was ich genau machen muss.
es öffnet sich ein fenster mit Konfigurieren ,... Suchen

Ich drück auf suche
und alle schlüssel die der findet soll ich löschen?

Genau, das sind die Überreste, die manchmal stören.